Client Security Solution 8.3 Implementierungshandbuch - Lenovo

Client Security Solution mit Chiffrierschlüsseln verwalten
Client Security Solution wird durch die beiden wichtigsten Implementierungsaktivitäten beschrieben:
„Eigentumsrecht übernehmen“ und „Benutzer registrieren“. Bei der ersten Ausführung des
Konfigurationsassistenten von Client Security Solution werden diese beiden Prozesse während der
Initialisierung ausgeführt. Die Windows-Benutzer-ID, die den Installationsassistenten für Client Security
Solution ausgeführt hat, ist der Client Security Solution-Administrator und ist als aktiver Benutzer registriert.
Jeder andere Benutzer, der sich am System anmeldet, wird automatisch aufgefordert, sich bei Client
Security Solution zu registrieren.
• Eigentumsrecht übernehmen
Eine einzige Windows-Administrator-ID ist als einziger Client Security Solution-Administrator für das
System zugeordnet. Verwaltungsfunktionen von Client Security Solution müssen über diese Benutzer-ID
ausgeführt werden. Die Berechtigung für das TPM (Trusted Platform Module) ist entweder das
Windows-Kennwort dieses Benutzers oder der Client Security-Verschlüsselungstext.
Anmerkung: Die einzige Möglichkeit einer Wiederherstellung, wenn das Client Security
Solution-Administratorkennwort oder der -Verschlüsselungstext vergessen wurde, besteht
darin, die Software mit gültigen Windows-Berechtigungen zu deinstallieren oder den Inhalt des
Sicherheitschips im BIOS zu löschen. Bei beiden Möglichkeiten gehen die Daten, die über die dem
TPM zugeordneten Schlüssel geschützt werden, verloren. Client Security Solution bietet außerdem
einen optionalen Mechanismus, mit dessen Hilfe Sie ein vergessenes Kennwort oder einen vergessenen
Verschlüsselungstext selbst wiederherstellen können. Dieser Mechanismus basiert auf Fragen und
Antworten zur Identifizierung. Der Client Security Solution-Administrator entscheidet, ob diese Funktion
verwendet wird.
• Benutzer registrieren
Nachdem der Prozess „Eigentumsrecht übernehmen“ abgeschlossen und ein Client Security
Solution-Administrator erstellt wurde, kann ein Benutzerbasisschlüssel erstellt werden, um die
Berechtigungsnachweise für den gerade angemeldeten Windows-Benutzer sicher zu speichern. Dadurch
können sich mehrere Benutzer bei Client Security Solution registrieren und das einzelne TPM nutzen.
Benutzerschlüssel werden über den Sicherheitschip gesichert, aber tatsächlich außerhalb des Chips auf
der Festplatte gespeichert. Diese Technologie erstellt Festplattenspeicherplatz als den einschränkenden
Speicherfaktor anstelle des tatsächlichen in den Sicherheitschip integrierten Speichers. Damit wird die
Anzahl der Benutzer, die dieselbe sichere Hardware nutzen können, deutlich erhöht.
Eigentumsrecht übernehmen
Die Sicherheitsbasis für Client Security Solution ist der System-Rootschlüssel (SRK, System Root Key).
Dieser nicht migrierbare asymmetrische Schlüssel wird in der sicheren Umgebung des TPMs (Trusted
Platform Module) generiert und gegenüber dem System nie offengelegt. Die Berechtigung zur Nutzung des
Schlüssels wird beim Ausführen des Befehls „TPM_TakeOwnership“ über das Windows-Administratorkonto
abgeleitet. Wenn das System einen Client Security-Verschlüsselungstext nutzt, ist der Client
Security-Verschlüsselungstext für den Client Security Solution-Administrator die TPM-Berechtigung.
Andernfalls wird das Windows-Kennwort des Client Security Solution-Administrators verwendet.
Mit Hilfe des für das System erstellten SRK können andere Schlüsselpaare erstellt und verpackt oder
geschützt durch die auf Hardware basierenden Schlüssel außerhalb des TPMs gespeichert werden. Da es
sich beim TPM, das den SRK enthält, um Hardware handelt und Hardware beschädigt werden kann, ist
ein Wiederherstellungsmechanismus erforderlich, um sicherzustellen, dass bei einer Beschädigung des
Systems eine Datenwiederherstellung möglich ist.
Um ein System wiederherzustellen, wird ein Systembasisschlüssel erstellt. Mit diesem asymmetrischen
Speicherschlüssel kann der Client Security Solution-Administrator das System nach dem Austauschen
der Systemplatine oder der geplanten Migration auf ein anderes System wiederherstellen. Damit
der Systembasisschlüssel geschützt ist und gleichzeitig bei normalem Betrieb oder bei einer
24 Client Security Solution 8.3 Implementierungshandbuch